PT-2026-41352 · Mathesar · Mathesar

Publicado 2026-05-15 · Atualizado 2026-05-15 · CVE-2026-44719

Positive Technologies (AI Summary) · Pt

CVSS v4.0

5.3

Média

Vetor base

AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Mathesar versões 0.2.0 through 0.9.9

Description Um usuário autenticado pode visualizar metadados gerenciados de bancos de dados nos quais não é um colaborador. Isso ocorre porque os endpoints 'collaborators.list', 'tables.metadata.list', 'explorations.list' e 'forms.list' aceitam a variável database id sem verificar o status de colaborador do usuário solicitante. Os metadados expostos podem incluir mapeamentos de colaboradores, metadados de tabelas, metadados de explorações salvas e metadados de formulários. No caso de formulários, a exposição de tokens de formulário permite que um invasor envie dados para formulários públicos usando a função do PostgreSQL configurada.

Recommendations Atualizar para a versão 0.10.0.

Exploit

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2026-44719

GHSA-JH9V-HQW8-5CQ8

Produtos afetados

Mathesar

Referências · 4

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/44xxx/CVE-2026-44719.json · Exploit
• https://github.com/mathesar-foundation/mathesar/security/advisories/GHSA-jh9v-hqw8-5cq8 · Nota
• https://osv.dev/vulnerability/CVE-2026-44719 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-44719 · Nota de Segurança